Dieser Plan basiert auf aktuellen Empfehlungen für Unternehmen in Deutschland und gliedert sich phasenweise von Analyse bis Umsetzung. Er zielt auf Unabhängigkeit von US-Tech-Giganten ab durch Open Source, europäische Clouds und Kompetenzaufbau.[1][2]. Die Priorität der Umsetzung der Punkte ist abhängig von der Risiko-Profil und der Kritikalität des Unternehmens.
Der Plan richtet sich an den Verantwortlichen des Vorhabens „Digitale Souveränität“ im Unternehmen. Er ist als eine Vorlage zu verstehen, auf deren Grundlage ein konkreter Projektplan zur Umsetzung der Digitalen Souveränität entwickelt werden kann. Dabei sind im Rahmen z.B. einer Projekzskizze die grundlegenden Rollen des Projektmanagements zu beschreiben und zu bestzen (Projektleiter, Qualitäts- und Sicherheitsverantwortlicher, Technik- und Netzverantwortlicher etc.). Als Leitmotiv sollte ein Bekenntnis der Leitungsebene zu den Zielen des Umsetzungprojekts entwickelt und veröffentlicht werden. Wo immer möglich, soll auf bereits vorhandene Pläne und Konzepte zurückgegriffen werden („das Rad für die Digitale Souveränität nicht neu erfinden“). Insbesondere bereits laufende oder erfolgte Management- oder Sicherheits-Zertifizierungen (ISO-9001 und ISO 27001) können der Ausgangspunkt für weitere Maßnahmen auf dem Weg zur Digitalen Souveränität sein.
In Bayern gibt es mehrere Förderprogramme, die digitale Souveränität unterstützen, vor allem durch Zuschüsse für IT-Sicherheit, Prozessdigitalisierung und Open-Source-ähnliche Maßnahmen.
10 Schritte zur digitalen Souveränität
1. Digitale Abhängigkeiten vollständig erfassen
Erstellen Sie eine Liste aller geschäftskritischen Systeme, Anwendungen, Anbieter und Verträge. Markieren Sie dabei, welche Lösungen unverzichtbar sind und wo ein Ausfall den Betrieb sofort beeinträchtigen würde.
2. Kritische Daten klassifizieren
Teilen Sie alle Unternehmensdaten in Schutzstufen ein. Legen Sie fest, welche Daten besonders sensibel sind und wo sie gespeichert, verarbeitet und gesichert werden dürfen.
3. Offene Standards verbindlich vorgeben
Nutzen Sie bei neuen Anschaffungen nur Lösungen, die offene Dateiformate, standardisierte Schnittstellen und einen einfachen Datenaustausch unterstützen. Vermeiden Sie Formate und Systeme, die einen Wechsel praktisch erschweren.
4. Für jedes Kernsystem einen Ausstiegsplan erstellen
Definieren Sie für Office, Cloud, E-Mail, Telefonie, Fachsoftware und Kollaboration einen konkreten Exit-Plan. Der Plan muss festlegen, wie Daten exportiert, Abläufe umgestellt und Mitarbeitende vorbereitet werden.
5. Cloud-Nutzung auf das Notwendige begrenzen
Prüfen Sie für jede Anwendung, ob sie wirklich in die Cloud gehört. Verarbeiten Sie besonders sensible oder zentrale Daten nur dann extern, wenn Sicherheits-, Rechts- und Exit-Bedingungen eindeutig geregelt sind.
6. Geeignete Open-Source-Lösungen einführen
Prüfen Sie bei Standardaufgaben, ob offene Software wirtschaftlich und fachlich geeignet ist. Führen Sie solche Lösungen bevorzugt dort ein, wo sie Wartbarkeit, Transparenz und Unabhängigkeit verbessern.
7. IT-Sicherheit technisch absichern
Richten Sie Mehrfaktor-Authentifizierung, regelmäßige Backups, Wiederherstellungstests, Rechtekonzepte und Notfallverfahren verbindlich ein. Kontrollieren Sie regelmäßig, ob diese Maßnahmen im Ernstfall funktionieren.
8. Verträge mit Anbietern souverän gestalten
Nehmen Sie in neue und bestehende Verträge klare Regelungen zu Datenportabilität, Kündigung, Export, Support und Migration auf. Fordern Sie vollständige Dokumentation und den Zugriff auf alle nötigen Schnittstellen.
9. Internes Know-how aufbauen
Benennen Sie Verantwortliche für digitale Souveränität und schulen Sie Mitarbeitende regelmäßig. Sorgen Sie dafür, dass grundlegendes Wissen über Systeme, Daten und Alternativen im Unternehmen bleibt.
10. Jährlich prüfen und nachsteuern
Führen Sie einmal im Jahr einen Souveränitäts-Check durch. Prüfen Sie dabei Abhängigkeiten, Sicherheitslage, Anbieterbindung und den Stand der Exit-Pläne und leiten Sie daraus konkrete Maßnahmen ab.